डेटा सुरक्षा क्लॉज: व्यक्तिगत डेटा का क्या होता है?

गोपनीयता कानून दुनिया को कंट्रोलर (जो तय करते हैं कि डेटा क्यों प्रोसेस किया जा रहा है) और प्रोसेसर (जो कंट्रोलर के निर्देशों पर इसे संभालते हैं) में विभाजित करता है। यदि आप ईमेल प्लेटफॉर्म, पेरोल प्रदाता, या एनालिटिक्स टूल किराए पर लेते हैं, तो आप आमतौर पर कंट्रोलर होते हैं और वे प्रोसेसर होते हैं।

कानूनी जिम्मेदारी का मुख्य हिस्सा कंट्रोलर पर होता है — यही कारण है कि ग्राहक के रूप में, आपको वेंडर को कंट्रोल करने के लिए कॉन्ट्रैक्ट की आवश्यकता होती है, न कि इसके विपरीत।

GDPR-जैसे कानूनों के तहत, क्लॉज में प्रोसेसिंग का विषय और अवधि, डेटा के प्रकार, केवल आपके निर्देशों पर कार्य करने की वेंडर की बाध्यता, गोपनीयता, सुरक्षा उपाय, सब-प्रोसेसर के नियम, डेटा-सब्जेक्ट के अनुरोधों में सहायता, ब्रीच नोटिफिकेशन और अंत में डेटा को हटाने या वापस करने का उल्लेख होना चाहिए।

यदि कोई वेंडर बिना किसी DPA के आपके लिए व्यक्तिगत डेटा प्रोसेस करता है, तो यह कोई भ्रम की स्थिति नहीं है — यूरोपीय संघ और समान नियमों में यह सीधे तौर पर गैर-कानूनी है, और जुर्माने का जोखिम आप पर आता है।

• केवल निर्देश (Instructions only) — वेंडर डेटा का उपयोग केवल आपके निर्देशानुसार ही करता है।
• सुरक्षा (Security) — नाम के साथ विशिष्ट उपाय, न कि केवल "इंडस्ट्री स्टैण्डर्ड"।
• सब-प्रोसेसर (Sub-processors) — डेटा को और कौन छूता है, और आपके पास आपत्ति करने का अधिकार।
• ब्रीच नोटिस — घंटों में एक समय सीमा, न कि "बिना किसी देरी के" जैसे अस्पष्ट शब्द।
• एक्जिट (Exit) — कॉन्ट्रैक्ट खत्म होने पर सबूत के साथ डेटा को हटाना या वापस करना।

जब किसी वेंडर के यहाँ आपके डेटा से जुड़ी सुरक्षा चूक (Breach) होती है, तो समय की गिनती शुरू हो जाती है — GDPR के तहत आपके पास रेगुलेटर को सूचित करने के लिए 72 घंटे हो सकते हैं, और आप उस ब्रीच के बारे में सूचित नहीं कर सकते जिसके बारे में आप खुद नहीं जानते।

एक ठोस प्रतिबद्धता देखें: "जानकारी होने के 24 (या 48) घंटों के भीतर"। "जल्द ही" या "कानून द्वारा आवश्यक" जैसी अस्पष्ट भाषा वेंडर को ढील देती है जो आपके पास नहीं है।

यदि वेंडर किसी दूसरे देश में डेटा स्टोर या प्रोसेस करता है, तो ट्रांसफर मैकेनिज्म (स्टैंडर्ड कॉन्ट्रैक्टुअल क्लॉज, पर्याप्तता निर्णय) की जांच करें। कानूनी तंत्र के बिना ट्रांसफर करना ऑडिट में विफलता का एक सामान्य कारण है।

एक नया सवाल: क्या वेंडर आपके डेटा का उपयोग AI मॉडल को प्रशिक्षित (Train) करने के लिए करता है? कई DPA पर अब इसी बिंदु पर बातचीत होती है। यदि कॉन्ट्रैक्ट इस पर मौन है, तो मान लें कि चुप्पी सुरक्षा नहीं है — एक लिखित 'नहीं' या लिखित ऑप्ट-आउट (Opt-out) लें।